WhatsApp in der Arztpraxis (DSGVO / § 203 StGB)
Recht & Datenschutz
Nach herrschender Meinung beginnt das Risiko bereits bei der Installation nicht erst beim Versenden einer Nachricht mit Patientenbezug
Warum der Adressbuch-Abgleich das eigentliche Problem ist, und warum selbst eine Patienteneinwilligung es nicht löst.
- Der Adressbuch-Abgleich von WhatsApp überträgt Kontaktdaten auch nicht einwilligender Dritter an Meta, ohne Rechtsgrundlage nach Art. 6 DSGVO
- Eine Patienteneinwilligung deckt nur die eigenen Daten des Patienten ab, nicht die Übermittlung der Kontakte Dritter aus dem Adressbuch
- Das EU-US Data Privacy Framework (seit 10.07.2023, vom EuG am 03.09.2025 bestätigt) löst weder das Adressbuch-Problem noch die Art.-9-Frage bei Gesundheitsdaten
- Die unbefugte Offenbarung identifizierender Patientendaten ist nach § 203 StGB strafbar, Freiheitsstrafe bis zu einem Jahr oder Geldstrafe
Nach herrschender Meinung beginnt das Risiko bereits bei der Installation von WhatsApp auf einem Gerät mit Patientenkontakten, nicht erst beim Versenden einer Nachricht: Der automatische Adressbuch-Abgleich überträgt Kontaktdaten Dritter ohne Rechtsgrundlage, und selbst eine Einwilligung des Patienten kann dieses Grundproblem nicht heilen.
Warum der Adressbuch-Abgleich das eigentliche Problem ist
WhatsApp gleicht bei Installation und laufend das gesamte Adressbuch mit den eigenen Servern ab und überträgt dabei Telefonnummern aller gespeicherten Kontakte, auch von Personen, die WhatsApp nicht nutzen und nie zugestimmt haben. Für diese Übermittlung fehlt eine Rechtsgrundlage nach Art. 6 DSGVO. Ein berechtigtes Interesse kommt allenfalls für bereits registrierte WhatsApp-Nutzer in Betracht, nicht für Nicht-Nutzer. Verweigert auch nur eine einzige im Adressbuch gespeicherte Person die Zustimmung, lässt sich die Übermittlung des gesamten Adressbuchs nicht mehr auf Einwilligungen stützen.
Hinzu tritt die ärztliche Schweigepflicht: Wer als Arzt, Zahnarzt, Psychotherapeut oder Apotheker ein ihm anvertrautes Geheimnis unbefugt offenbart, macht sich nach § 203 StGB strafbar, Freiheitsstrafe bis zu einem Jahr oder Geldstrafe, bei Handeln gegen Entgelt oder in Bereicherungsabsicht bis zu zwei Jahren. Übermittelt eine Praxis identifizierende Patientendaten über WhatsApp an einen US-Dienstleister ohne wirksame Befugnis, kann bereits das Offenbaren gegenüber dem Dienstleister tatbestandsrelevant sein.
Warum eine Einwilligung nicht ausreicht
Für Gesundheitsdaten braucht es nach Art. 9 DSGVO eine ausdrückliche Ausnahme, praktisch die ausdrückliche Einwilligung. Eine solche Einwilligung kann die Verarbeitung der Daten des einwilligenden Patienten für einen eng begrenzten Zweck legitimieren. Sie kann aber nicht den Adressbuch-Abgleich heilen, denn dieser betrifft die Kontaktdaten unbeteiligter Dritter, die selbst nicht eingewilligt haben. Die verbreitete Annahme, eine unterschriebene Einwilligungserklärung mache WhatsApp praxistauglich, greift deshalb zu kurz.
Auch der EU-US Data Privacy Framework hilft nur begrenzt: Meta und WhatsApp sind seit dem Angemessenheitsbeschluss vom 10. Juli 2023 zertifiziert, das Gericht der Europäischen Union hat den Beschluss am 3. September 2025 bestätigt. Das löst aber weder das Adressbuch-Problem noch deckt es automatisch sensible Gesundheitsdaten ab, und Meta bietet einen Auftragsverarbeitungsvertrag ohnehin nur für die WhatsApp Business Platform an, nicht für die Standard-App.
Prüfkriterien
Vier Bausteine, die am häufigsten scheitern
Diese vier Punkte tauchen bei der Messenger-Nutzung in Praxen am häufigsten als Befund auf.
Vier Bausteine, zum Durchklicken
Schon der Kontext einer Nachricht kann ein Gesundheitsdatum offenbaren.
Hilft Terminerinnerungen laufen über einen zertifizierten Kanal oder enthalten keinerlei Behandlungsbezug und keine Fachabteilung.
Stolperfalle Eine WhatsApp-Erinnerung nennt die Fachabteilung oder den Behandlungsanlass, etwa Termin in der Onkologie, und offenbart damit ein Gesundheitsdatum.
Privates WhatsApp für dienstliche Zwecke entzieht sich jeder Kontrolle.
Hilft Eine schriftliche Nutzungsrichtlinie untersagt privates WhatsApp für dienstliche Patientenkommunikation ausdrücklich.
Stolperfalle Mitarbeitende nutzen ihr privates Smartphone für Patientenkontakt, ohne Auftragsverarbeitungsvertrag, ohne Zugriffskontrolle, mit Zugriffsrisiko durch Familienangehörige.
Der häufigste Denkfehler in der Praxis.
Hilft Die Praxis erkennt: Eine Einwilligung deckt nur die Daten des einwilligenden Patienten, nicht das Adressbuch-Problem.
Stolperfalle Eine unterschriebene Einwilligungserklärung wird als vollständige Lösung missverstanden, das Adressbuch-Problem bleibt bestehen.
Bei hochsensiblen Daten ist das Risiko am größten.
Hilft Befunde, Röntgenbilder und Diagnosen werden ausschließlich über einen zertifizierten Kanal wie den TI-Messenger übermittelt.
Stolperfalle Ein Röntgenbild oder ein Laborbefund wird schnell per WhatsApp an den Patienten geschickt.
Wie ist Ihre Situation einzuordnen?
Nicht jede Nachricht ist gleich riskant, entscheidend sind Inhalt und Kanal.
Wählen Sie die Situation, die auf Sie zutrifft
Zeitleiste
Wie sich die Rechtslage entwickelt hat
Von der ersten Behördenposition zur aktuellen Rechtsprechung.
- 6./7. November 2019
DSK-Whitepaper Messenger-Dienste
Die Datenschutzkonferenz veröffentlicht das Whitepaper zu technischen Datenschutzanforderungen an Messenger-Dienste im Krankenhausbereich mit klaren Muss-Kriterien und stellt fest, dass WhatsApp bei geschäftlicher Nutzung weitgehend ausscheidet.
- 10. Juli 2023
EU-US Data Privacy Framework tritt in Kraft
Die EU-Kommission nimmt den Angemessenheitsbeschluss zum EU-US Data Privacy Framework an, Meta und WhatsApp zertifizieren sich in der Folge.
- Frühjahr 2024
Erste TI-Messenger-Zulassung
Famedly erhält als erster Anbieter die gematik-Zulassung für einen TI-Messenger, eine zertifizierte Alternative zu WhatsApp etabliert sich am Markt.
- 3. September 2025
EuG bestätigt Angemessenheitsbeschluss
Das Gericht der Europäischen Union bestätigt den Angemessenheitsbeschluss zum EU-US Data Privacy Framework, geprüft wurde ausdrücklich nur die Rechtslage zum Zeitpunkt des Beschlusses 2023.
- 28. Oktober 2025
LDI NRW untersagt WhatsApp-Gruppennutzung
Die Landesbeauftragte für Datenschutz NRW untersagt einem Unternehmen die Nutzung von WhatsApp-Gruppen zum Teilen von Gesundheitsdaten und prüft ein Bußgeld.
- 22. Mai 2026
ArbG Siegburg zu Diagnose-Weitergabe
Das Arbeitsgericht Siegburg spricht Schadensersatz für die Weitergabe einer Diagnose in einer dienstlichen WhatsApp-Gruppe zu, das Urteil ist noch nicht rechtskräftig.
Was jetzt zu tun ist
Der erste Schritt ist eine Bestandsaufnahme: Wer in der Praxis nutzt WhatsApp wofür, und ist der Einsatz im Verzeichnis der Verarbeitungstätigkeiten erfasst? Der Versand von Befunden, Diagnosen und Ausweisdokumenten über WhatsApp sollte sofort gestoppt werden, hier ist das Risiko am größten. Eine schriftliche Nutzungsrichtlinie sollte privates WhatsApp für dienstliche Patientenkommunikation ausdrücklich untersagen.
Mittelfristig führt der Weg zu einem zertifizierten Messenger, etwa einem gematik-zugelassenen TI-Messenger oder einem Patientenportal, das die Muss-Kriterien der Datenschutzkonferenz erfüllt: getrenntes Adressbuch, starke Authentifizierung, Ende-zu-Ende-Verschlüsselung, EU-Hosting und ein Auftragsverarbeitungsvertrag. Patienten werden über den Kanalwechsel informiert, Einwilligungen für den neuen Kanal sauber neu eingeholt, und das Team entsprechend geschult.
medivendis Intelligence Unit
Wissen Sie, wo Ihre Praxis-Website steht?
Der medivendis Audit prüft auch Ihre Patientenkommunikation, zusammen mit den anderen 19 Modulen.
Nächster Schritt
Compliance-Risiko einschätzen
Der AppCore-Erstaudit zeigt dir in 10 Minuten, wo deine Website steht.